近期，OpenClaw（“小龙虾”，曾用名Clawdbot、Moltbot）开源智能体下载及使用量快速上升，国内主流云平台均提供一键部署服务。该软件可通过自然语言指令操控计算机，为实现自主执行功能，被授予较高系统权限，包括访问本地文件、读取环境变量、调用外部API及安装扩展等。
需特别警示，该应用默认安全配置薄弱，一旦被攻击者突破，极易被非法夺取系统控制权。前期，部分用户因不当安装使用，已出现多起安全隐患，具体如下：
一、“提示词注入”风险。攻击者在网页中植入隐藏恶意指令，诱导OpenClaw读取后，可操控其泄露用户系统密钥。
二、“误操作”风险。该软件可能误判用户指令，导致电子邮件、核心生产数据等重要信息误删，造成不可逆损失。
三、功能插件（skills）投毒风险。多个适用于OpenClaw的插件已确认存在恶意或安全隐患，安装后可窃取密钥、部署木马，导致设备被非法控制。
四、安全漏洞风险。截至目前，OpenClaw已公开多个高中危漏洞，被恶意利用将导致系统被控、数据泄露。个人用户可能泄露隐私及支付信息；金融、能源等关键行业可能泄露核心数据，甚至引发业务系统瘫痪。
建议相关单位和个人用户在部署和应用OpenClaw时，采取以下安全措施：
一、强化网络管控。严禁将默认管理端口暴露公网，通过身份认证、访问控制规范访问；用容器等技术隔离运行环境，限制过高权限。
二、加强凭证管理。严禁明文存储密钥，严防泄露；建立操作日志审计机制，排查异常、留存痕迹，确保可追溯。
三、规范插件管理。禁用自动更新，仅从可信渠道安装经签名验证的扩展，杜绝来源不明插件。
四、及时更新补丁。关注官方安全更新，第一时间升级版本、安装补丁，修复漏洞降低攻击风险。
参考来源：《关于防范OpenClaw（“龙虾”）开源智能体安全风险的“六要六不要”建议》
https://nvdb.org.cn/publicAnnouncement/2031684972835299329
